シータラボ（Theta Labs）やイーサリアム財団などの共同研究チームは2026年9月10日、暗号方式「secp256k1」に対する量子攻撃の主要計算工程において、計算量スコアを従来の約30億から14.96億へと半減させたと発表した。
暗号解読リソース半減がもたらすロードマップの前倒し
2026年9月10日、アイゲン・ラボズ（Eigen Labs）が主催したオープンリサーチ「ECDSA.fail」の結果がarXivプレプリントおよび公式ブログで公表された。ビットコイン（BTC）やイーサリアム（ETH）の署名アルゴリズムである楕円曲線暗号「secp256k1」に対し、ショアのアルゴリズム（Shor’s algorithm）を実行した際の回路計算量が大幅に縮小された。
従来、グーグル・クアンタムAI（Google Quantum AI）が2026年3月に示した検証スコアは約30億（時空体積スコア：論理量子ビット数×トフォリゲート数）とされていた。今回のプロジェクトでは、世界各国の研究者100人以上とAIコーディングエージェントが協調し、提出スコアを約14.96億まで圧縮した。物理ハードウェアの飛躍的な性能向上を待たずに、アルゴリズムと量子回路の論理設計のみで計算資源要件が半減したことになる。
量子コンピューター開発企業のアイオンQ（IonQ）の試算によると、物理量子ビット約2万個を備えた誤り耐性型量子コンピューター（FTQC）が実現した場合、secp256k1の暗号解読はわずか26日で完了する。米国立標準技術研究所（NIST）のロードマップ草案「NIST IR 8547」では、RSA-2048やECC P-256などの従来型公開鍵暗号について、2030年以降に「非推奨（deprecated）」、2035年以降に「禁止（disallowed）」とする移行計画が進行している。今回の成果は、この想定タイムラインを数年前倒しさせる技術的根拠を与えた。
| 項目 | Google公表基準値（2026年3月） | ECDSA.fail最良値（2026年7月カットオフ） | 後発・派生設計値（2026年8月〜9月） |
|---|---|---|---|
| 時空体積スコア | 約30億 | 約14.96億（50%超削減） | 約12.6億 |
| 論理量子ビット数 | 約1,150〜1,200 | 1,151（最小値は825） | 813（ただし計算量は増加） |
| トフォリゲート数 | 約260万 | 約130万 | 95万2,707 |
| 主な達成手段 | 手動による回路最適化 | AIエージェント協調・400件超の改修 | パイプライン再構成・ゲート圧縮 |
オンチェーンデータの安全保障に関するリスクは、理論上のものではない。コインベース（Coinbase）の量子諮問委員会が2026年6月に公表した調査レポートによると、公開鍵がオンチェーン上に直接露出しているアドレスには約700万BTCが存在する。これはビットコイン総供給量の約3分の1に相当し、市場価値にして4,000億ドル規模を超える。
サトシ・ナカモトの保有分を含む初期マイニングコインの多くは、公開鍵がそのままトランザクションに含まれるP2PK（Pay-to-Public-Key）形式で保管されている。これらのウォレットは、誤り耐性量子コンピューターが実現した瞬間に公開鍵から秘密鍵を逆算される危険に晒される。
イーサリアムにおいても、流通する全ETHの約65%が公開鍵の露出したアドレス形態に存在している。加えて、合意形成層でステーキングされている約4,240万ETHが、耐量子性のないBLS（Boneh-Lynn-Shacham）署名に依存している。こうした事態を受け、イーサリアム財団のプロトコルチームは2026年9月7日、2029年12月までに実行層・合意層・データ層のすべてを完全な耐量子暗号へ移行する公式目標を策定した。
参考記事: ビットコインに対する量子コンピューティングの脅威とは？暗号解読の真実と2030年代への備え
ショアのアルゴリズム最適化とAI駆動型回路探索の技術構造
なぜ物理マシンの進化なしに、わずか2カ月間で攻撃コストの見積もりが半減したのか。その核心は、ショアのアルゴリズムにおける「楕円曲線上の点加算（Point Addition）演算」の徹底的なリバースエンジニアリングとゲート圧縮にある。
secp256k1暗号の解読は、楕円曲線離散対数問題（ECDLP）を解くことに帰着する。ショアのアルゴリズムを用いてこの問題を解く際、演算処理の大半を占めるのがモジュロ加算やモジュロ乗算を伴う点加算演算である。従来の暗号解読モデルでは、可逆論理ゲートであるトフォリゲート（Toffoli gate）を数百万回以上連続して実行する必要があり、量子誤り訂正に必要なリソースが膨大化していた。
本プロジェクトの発端は、グーグル・クアンタムAIが2026年3月に公開した成果にある。同社は検証済みの点加算回路の存在を示すゼロ知識証明（SP1 zkVMおよびGroth16）と、回路の正当性・コストを検証するベリファイアツールを公表した。ただし、軍事・安全保障上の懸念から、最適化された回路の実データそのものは「責任ある開示」として非公開とされた。
これに対し、アイゲン・ラボズはその検証ツールを土台として、回路設計を世界中から募る分散型コンペティション「ECDSA.fail」を2026年5月30日に立ち上げた。参加した研究者たちは、AIコーディングエージェントにトフォリゲートの配置探索、不要な補助量子ビットの削減、可逆演算の並列化コードの自動生成を担当させた。
人間の研究者はアーキテクチャの変更や代数幾何学的な方針転換に集中し、AIエージェントが微細な命令単位の削減と自動検証を反復した。結果として、2カ月間で400件以上の有効な回路改良が連鎖的に行われ、スコアは初期値の107.5億から14.96億まで一気に圧縮された。
| 開発アプローチ | 従来の人手による回路設計 | ECDSA.failのAI協調型設計 |
|---|---|---|
| 最適化の探索範囲 | 直観に基づく局所的なゲート置換 | 数十万通りのゲート順序を自律探索 |
| 論理量子ビット設計 | 固定的なレジスタ割り当て | 計算フェーズごとの動的リサイクル |
| 変更サイクルの速度 | 1世代あたり数週間〜数カ月 | AIによる自動検証で1日に数件 |
| トフォリゲート削減 | 漸進的な削減にとどまる | 95万ゲート台まで徹底的な圧縮を実現 |
ただし、暗号解読が今すぐ実行できるわけではない。ハードウェアの実装要件から見れば、依然としてクリアすべき前提条件（Prerequisites）が存在する。
第一に、今回最適化されたのは点加算の単位回路であり、ショアのアルゴリズム全体の制御フローや誤り訂正符号の物理マッピングまでは包含されていない。第二に、現在の商用量子コンピューターは物理量子ビット数が約1,000基、誤り耐性を持たないゲート演算数が100基前後の水準にとどまる。本研究で示された「論理量子ビット1,151基」を実現するには、表面符号（Surface Code）などの誤り訂正技術を介して、10万〜100万基規模の物理量子ビットを集積する必要がある。
それでも、スターク・ウェア（StarkWare）のイーライ・ベン・サッソン（Eli Ben-Sasson）CEOが指摘するように、計算量見積もりが短期間で半減した事実は、暗号解読に必要な量子コンピューターの規模要件が下がったことを意味する。物理ハードウェアの集積ペースが一定であっても、アルゴリズムの効率化によって「実用的な攻撃が可能になる時期」が急速に手前へと手繰り寄せられている。
参考記事: 耐量子暗号（PQC）のハードウェア実装ロードマップ｜主要半導体ベンダーの対応と移行の技術的課題
日本の金融・Web3インフラが直面する構造的課題
本研究の進展は、日本の金融機関およびWeb3事業者に対して、具体的なセキュリティアーキテクチャの刷新を迫る。特に国内市場は、資金決済法に基づく厳格な暗号資産管理規制が敷かれており、グローバルなPQC移行の影響を直接受ける。
国内の暗号資産交換業者は、顧客資産の95%以上をインターネットから隔離されたコールドウォレットで管理することが義務付けられている。しかし、ビットコインのブロックチェーン仕様上、送金履歴のあるウォレットアドレスは公開鍵がトランザクション内に刻まれ、世界中に開示されている。一度でも送金を行ったことのあるコールドウォレットは、秘密鍵がオフラインに保たれていても、公開鍵自体は完全に露出している状態にある。
シータラボのジエイ・ロング（Jieyi Long）CTOが「耐量子暗号への移行には何年もの準備期間を要し、実際に攻撃が起きてから事後的に修正することはできない」と述べた通り、暗号資産の移行にはハードフォークを伴う合意形成と大規模な署名マイグレーションが不可欠となる。
| 対象領域 | 現行の技術方式 | 量子攻撃に対する脆弱点 | 日本企業が直面する課題 |
|---|---|---|---|
| ビットコイン保管 | secp256k1（ECDSA / Schnorr） | 使用済みアドレスの公開鍵露出 | 顧客資産ウォレットの一斉移行・TXコスト |
| イーサリアムバリデータ | BLS12-381署名 | 合意形成署名の完全解読リスク | 2029年財団ロードマップへの追従・検証負荷 |
| エンタープライズWeb3 | コンソーシアム型基盤（Hyperledger等） | TLS通信および署名のECDSA依存 | 既存スマートコントラクトのPQC改修費用 |
| 金融決済インフラ | RSA-2048 / ECDSA（FISC準拠） | データ蓄積後の後日解読（SNDL攻撃） | 金融庁ガイドラインへのPQC要件組み込み遅延 |
構造的な障壁として、PQC署名方式を採用した際の「トランザクションサイズの肥大化」が挙げられる。NISTが標準化したML-DSA（CRYSTALS-Dilithium）やSLH-DSA（SPHINCS+）などの格子暗号・ハッシュベース暗号は、現行のECDSA（約64バイト）と比較して公開鍵や署名データのサイズが数十倍から数百倍に膨らむ。
もしビットコインやイーサリアムの署名をそのままPQCに置き換えた場合、ブロックチェーンのデータ伝播遅延が発生し、ノードのハードウェア要件やガス代が跳ね上がる。この問題を解決するためには、STARKs等のゼロ知識証明を活用して複数の耐量子署名を1つの証明に圧縮して検証する高度なインフラ再構築が必要となる。
国内のブロックチェーン開発企業や受託SIerにおいて、耐量子暗号の数学的理論とゼロ知識証明回路の最適化を両立できるエンジニアは極めて不足している。既存システムの保守にリソースを割かれ、PQC対応プロトコルの実証実験（PoC）に着手できている国内企業はごく一部に限られている。
参考記事: 耐量子暗号（PQC）とは？CISOが急ぐべき暗号インベントリと2030年への移行ロードマップ
企業が直ちに着手すべき暗号資産防衛のロードマップ
暗号解読コストの低下という客観的データが示された今、企業の最高情報セキュリティ責任者（CISO）およびWeb3事業責任者は、脅威を遠い未来の出来事と捉える姿勢を改める必要がある。今すぐ着手すべき具体的なアクションは以下の3点に集約される。
- オンチェーン資産の公開鍵露出度を特定する暗号インベントリ監査の実施
自社または顧客から預託されている暗号資産のアドレス種別を精査する。ビットコインであれば、公開鍵が露呈しているP2PKアドレスや再利用アドレスから、未使用のP2WPKH（Native SegWit）またはP2TR（Taproot）アドレスへ資金を分散・再配置する作業を即座に計画する。アドレスの再利用を厳格に禁止するウォレット運用ポリシーの自動化を急ぐ必要がある。
- PQC署名圧縮技術およびアブストラクトアカウント（ERC-4337）の実装検証
署名データサイズの肥大化によるチェーンの処理能力低下を防ぐため、アカウントアブストラクションを活用した署名検証の抽象化検証を進める。イーサリアム財団が目指す2029年12月の耐量子移行スケジュールをベンチマークとし、スマートコントラクトウォレット側で耐量子署名アルゴリズムをプラグインとして受け入れられる柔軟なアーキテクチャへの改修を自社プロダクトで進める。
- NIST IR 8547基準に準拠した通信暗号化レイヤーのハイブリッド移行
ブロックチェーンノード間の通信や、カストディAPIの通信経路において「今暗号化通信を傍受し、将来の量子マシンで解読する」SNDL（Store Now, Decrypt Later）攻撃への防御を固める。従来の共通鍵暗号（AES-256）の維持に加え、鍵交換プロトコルにML-KEM（CRYSTALS-Kyber）を組み合わせたハイブリッドTLSの試験導入を2026年中に開始する。
量子技術とAIエージェントの融合は、暗号解読の実現時期を数学的・工学的に縮めるサイクルに入った。事後対応が不可能な暗号技術の特性を鑑み、今期中の暗号インベントリ策定と耐量子化への投資判断が、企業の重要資産を守る最低限の防壁となる。
参考記事: 量子コンピュータとは？仕組みからビジネス活用・2030年実用化シナリオまで徹底解説
出典: CoinPost
出典: Eigen Labs
出典: arXiv
出典: The Block
出典: NIST
出典: TradingView
